Definition
Ein Datenleck bezeichnet das unbefugte Offenlegen, Zugänglichmachen oder Verlieren von sensiblen Informationen. Dabei können personenbezogene Daten, Geschäftsgeheimnisse, Finanzdaten oder andere vertrauliche Informationen betroffen sein. Ein Datenleck kann sowohl durch technische Schwachstellen als auch durch menschliches Fehlverhalten verursacht werden.
Datenlecks unterscheiden sich von Datenverlusten dadurch, dass bei einem Leck Informationen in die Hände unautorisierter Dritter gelangen, während ein Datenverlust auch den vollständigen Verlust von Daten ohne Zugriff durch Dritte meint. Die Folgen eines Datenlecks können von finanziellen Schäden bis hin zu Reputationsverlusten reichen.
Was bedeutet das für Ihr Unternehmen?
Viele Datenlecks entstehen nicht durch raffinierte Angriffe, sondern durch Alltägliches: eine falsch adressierte E-Mail mit Kundenliste, ein öffentlich freigegebener Cloud-Ordner oder ein Testsystem mit echten Daten, das offen im Internet steht. Stellt sich heraus, dass personenbezogene Daten betroffen sind, läuft die Frist zur Meldung an die Datenschutzaufsicht ab dem Zeitpunkt, an dem Sie davon wissen. Regelmäßige Prüfungen von Freigaben und Zugriffsrechten verringern das Risiko deutlich.
Ursachen und Entstehung
Datenlecks entstehen häufig durch Sicherheitslücken in IT-Systemen, wie unzureichend geschützte Server, fehlerhafte Software oder fehlende Verschlüsselung. Auch Phishing-Angriffe, Malware oder Social Engineering können dazu führen, dass Daten ungewollt offengelegt werden.
Neben technischen Ursachen spielen menschliche Fehler eine bedeutende Rolle. Dazu zählen etwa das versehentliche Versenden sensibler Daten an falsche Empfänger, unsachgemäße Handhabung von Passwörtern oder der Verlust von Datenträgern. Die Komplexität moderner IT-Infrastrukturen erhöht das Risiko für solche Vorfälle.
Erkennung und Meldung
Die Erkennung von Datenlecks erfolgt oft durch Monitoring-Systeme, die ungewöhnliche Zugriffe oder Datenabflüsse registrieren. In vielen Fällen werden Lecks jedoch erst durch externe Hinweise, wie Meldungen von Betroffenen oder Sicherheitsforschern, bekannt.
In der Europäischen Union verpflichtet die Datenschutz-Grundverordnung (DSGVO) Unternehmen, Datenlecks innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde zu melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten von Personen. Auch die Information betroffener Personen ist unter bestimmten Voraussetzungen vorgeschrieben.
Auswirkungen und Folgen
Die Folgen von Datenlecks können vielfältig sein und reichen von finanziellen Verlusten über rechtliche Konsequenzen bis hin zu Imageschäden. Unternehmen sehen sich häufig mit Bußgeldern, Schadensersatzforderungen und Vertrauensverlust konfrontiert.
Für betroffene Personen besteht das Risiko von Identitätsdiebstahl, Betrug oder Diskriminierung. Je nach Art der offengelegten Daten kann ein Datenleck auch Auswirkungen auf die nationale Sicherheit oder kritische Infrastrukturen haben.
Abgrenzung zu verwandten Begriffen
Datenlecks werden oft mit Datenpannen oder Datenschutzverletzungen gleichgesetzt, wobei letztere einen weiteren Begriff darstellen, der auch andere Formen von Verstößen gegen Datenschutzvorschriften umfasst. Ein Datenleck ist demnach eine spezifische Art der Datenschutzverletzung.
Im Unterschied zu einem Hackerangriff, der aktiv das Ziel verfolgt, Systeme zu kompromittieren, kann ein Datenleck auch unbeabsichtigt durch Fehlkonfigurationen oder menschliches Versagen entstehen. Alternative Begriffe sind Datenabfluss oder Datenexfiltration, die sich meist auf den gezielten Diebstahl von Daten beziehen.